Visão geral do Cloud Service Mesh
O Cloud Service Mesh é uma malha de serviço disponível no Google Cloud e em plataformas do GKE Enterprise com suporte. Ele dá suporte a serviços executados em várias infraestruturas de computação. O Cloud Service Mesh é controlado por APIs projetadas para o Google Cloud, para código aberto ou para ambos.
Este documento é para você se for um novo usuário do Cloud Service Mesh ou um cliente do Anthos Service Mesh ou do Traffic Director.
O que é uma malha de serviço?
Uma malha de serviço é uma arquitetura que permite a comunicação gerenciada, observável e segura entre seus serviços, facilitando a criação de aplicativos empresariais robustos compostos de muitos microsserviços na infraestrutura escolhida. As malhas de serviço gerenciam os requisitos comuns da execução de um serviço, como monitoramento, rede e segurança, com ferramentas consistentes e avançadas. Assim, os desenvolvedores e operadores de serviços podem se concentrar na criação e no gerenciamento de ótimos aplicativos para os usuários.
Em termos de arquitetura, uma malha de serviço consiste em um ou mais planos de controle e um plano de dados. A malha de serviço monitora todo o tráfego de entrada e saída dos serviços. No Kubernetes, um proxy é implantado por um padrão de arquivo secundário nos microsserviços na malha. No Compute Engine, é possível implantar proxies em VMs ou usar gRPC sem proxy no plano de dados.
Esse padrão dissocia a lógica de aplicativo ou de negócios das funções de rede e permite que os desenvolvedores se concentrem nos recursos necessários para os negócios. As malhas de serviço também permitem que as equipes de operações e de desenvolvimento separem o trabalho uma da outra.
Arquitetar os aplicativos como microsserviços oferece muitos benefícios. No entanto, as cargas de trabalho podem se tornar mais complexas e fragmentadas à medida que são escalonadas. A malha de serviço ajuda a resolver o problema de fragmentação e facilita o gerenciamento dos microsserviços.
O que é o Cloud Service Mesh?
O Cloud Service Mesh é a solução do Google para o Google Cloud e ambientes do GKE Enterprise com suporte.
- No Google Cloud: o Cloud Service Mesh fornece APIs específicas para a infraestrutura de computação em que suas cargas de trabalho são executadas.
- Para cargas de trabalho do Compute Engine, o Cloud Service Mesh usa APIs de roteamento de serviço específicas do Google Cloud.
- Para cargas de trabalho do Google Kubernetes Engine (GKE), o Cloud Service Mesh usa as APIs do Istio de código aberto.
- Fora do Google Cloud: com o Distributed Cloud ou o GKE multicloud, o Cloud Service Mesh oferece suporte às APIs do Istio para cargas de trabalho do Kubernetes.
Seja dentro ou fora do Google Cloud, o Cloud Service Mesh permite gerenciar, observar e proteger seus serviços sem ter que alterar o código do aplicativo.
O Cloud Service Mesh reduz o trabalho das equipes de operações e desenvolvimento simplificando a entrega de serviços, desde o gerenciamento de tráfego e a telemetria de malha até a proteção das comunicações entre serviços. A malha de serviço totalmente gerenciada do Google permite administrar ambientes complexos e aproveitar os benefícios prometidos.
Recursos
O Cloud Service Mesh tem um pacote de recursos para gerenciamento de tráfego, observabilidade, telemetria e segurança.
Gerenciamento de tráfego
O Cloud Service Mesh controla o fluxo de tráfego entre os serviços na malha, na malha (entrada) e para serviços externos (saída). Você configura e implanta recursos para gerenciar esse tráfego na camada do aplicativo (L7). Por exemplo, é possível realizar estas ações:
- Usar a descoberta de serviços.
- Configurar o balanceamento de carga entre serviços.
- Criar implantações canário e azul-verde.
- Controle com precisão o roteamento dos seus serviços.
- Configurar disjuntores.
O Cloud Service Mesh mantém uma lista de todos os serviços na malha por nome e pelos respectivos endpoints. Ele mantém essa lista para gerenciar o fluxo de tráfego (por exemplo, endereços IP do pod do Kubernetes ou os endereços IP das VMs do Compute Engine em um grupo gerenciado de instâncias). Ao usar esse registro de serviço e executar os proxies lado a lado com os serviços, a malha pode direcionar o tráfego para o endpoint apropriado. Também é possível usar cargas de trabalho gRPC sem proxy em paralelo com cargas de trabalho que usam proxies Envoy.
Insights sobre observabilidade
A interface do usuário do Cloud Service Mesh no console do Google Cloud fornece insights sobre sua malha de serviço. Essas métricas são geradas automaticamente para cargas de trabalho configuradas por meio das APIs do Istio.
- As métricas e os registros de serviço do tráfego HTTP no cluster do GKE da malha são ingeridos automaticamente no Google Cloud.
- Os painéis de serviço pré-configurados mostram as informações necessárias para você entender seus serviços.
- A telemetria detalhada, desenvolvida com o Cloud Monitoring, o Cloud Logging e o Cloud Trace, permite analisar em detalhes as métricas e os registros de serviço. Você pode filtrar e segmentar seus dados em uma grande variedade de atributos.
- As relações serviço a serviço ajudam a entender rapidamente as dependências entre serviços e quem se conecta a cada um deles.
- É possível ver rapidamente a postura de segurança da comunicação não apenas do seu serviço, mas as relações dele com outros serviços.
- Os objetivos de nível de serviço (SLOs, na sigla em inglês) oferecem insights sobre a integridade dos serviços. É possível definir um SLO e um alerta de acordo com seus próprios padrões de integridade do serviço.
Saiba mais sobre os recursos de observabilidade do Cloud Service Mesh no nosso Guia de observabilidade.
Benefícios de segurança
O Cloud Service Mesh oferece muitos benefícios de segurança.
- Reduz os riscos de ataques de reprodução ou de falsificação de identidade que usam credenciais roubadas. O Cloud Service Mesh depende de certificados TLS mútuos (mTLS) para autenticar pares, em vez de tokens do portador, como JSON Web Tokens (JWT).
- Garante a criptografia em trânsito. O uso da mTLS para autenticação também garante que todas as comunicações TCP sejam criptografadas em trânsito.
- Diminui o risco de clientes não autorizados acessarem um serviço com dados confidenciais, independentemente do local de rede do cliente e das credenciais no nível do aplicativo.
- Reduz o risco de violação de dados do usuário na rede de produção. Você pode garantir que pessoas com informações privilegiadas só possam acessar dados sensíveis usando clientes autorizados.
- Identifica quais clientes acessaram um serviço com dados confidenciais. A geração de registros de acesso do Cloud Service Mesh captura a identidade mTLS do cliente além do endereço IP.
- Todos os componentes do plano de controle no cluster são criados com módulos de criptografia validados pelo FIPS 140-2.
Saiba mais sobre os benefícios e recursos de segurança do Service Mesh no Guia de segurança.
Opções de implantação
Você tem as seguintes opções de implantação no Cloud Service Mesh:
- No Google Cloud
- Cloud Service Mesh gerenciado: plano de dados e controle gerenciado para o GKE (recomendado)
- Cloud Service Mesh gerenciado: controle gerenciado e plano de dados para o Compute Engine com VMs (recomendado)
- Plano de controle no cluster para GKE com APIs do Istio (não recomendado)
- Fora do Google Cloud
- Plano de controle no cluster para Kubernetes com APIs do Istio
Cloud Service Mesh gerenciado
O Cloud Service Mesh gerenciado consiste no plano de controle gerenciado para todas as infraestruturas e no plano de dados gerenciado para o GKE. Com o Cloud Service Mesh gerenciado, o Google lida com upgrades, escalonamento e segurança para você, minimizando a manutenção manual do usuário. Isso abrange o plano de controle, o plano de dados e os recursos relacionados.
Implementação do plano de dados
Se você usa as APIs do Google Cloud, seu plano de dados pode ser fornecido por proxies Envoy ou por aplicativos gRPC sem proxy. Se você estiver atualizando um aplicativo já existente, a abordagem baseada em arquivo secundário permite a integração na malha sem alterar o aplicativo. Para evitar a sobrecarga da execução de um arquivo secundário, atualize o aplicativo para usar o gRPC.
Os proxies Envoy e o gRPC sem proxy usam a API xDS para se conectar ao plano de controle. Se você usa o gRPC sem proxy, há várias linguagens compatíveis para seus aplicativos, incluindo Go, C++, Java e Python.
Se você usa APIs do Istio de código aberto, seu plano de dados é fornecido pelos proxies Envoy.
Implementação do plano de controle
O plano de controle do Cloud Service Mesh depende de sua configuração estar ativada ou não no Google Cloud e se você é um novo cliente.
Implementação do plano de controle para usuários atuais
- Se a configuração estiver fora do Google Cloud, você está usando o plano de controle não gerenciado no cluster do Cloud Service Mesh. Para mais informações, consulte Recursos compatíveis com o plano de controle no cluster.
- Se você era um usuário do Anthos Service Mesh no Google Cloud, está usando as APIs do Istio. Para mais informações, consulte Recursos compatíveis com as APIs do Istio (plano de controle gerenciado) .
- Se você era um usuário do Cloud Service Mesh, está usando o plano de controle gerenciado do Cloud Service Mesh com as APIs do Google Cloud. Para mais informações, consulte Cloud Service Mesh com recursos compatíveis com APIs do Google Cloud.
Para determinar o plano de controle atual, leia Identificar a implementação do plano de controle. Para mais informações sobre planos de controle e migração do plano de controle, consulte Visão geral do plano de controle gerenciado para clientes contínuos.
Implementação do plano de controle para novos usuários
- Se você estiver planejando uma configuração fora do Google Cloud, estará escolhendo o plano de controle não gerenciado no cluster do Cloud Service Mesh. Para mais informações, consulte Recursos compatíveis com o plano de controle no cluster.
- Se você está planejando uma configuração no Google Cloud no Kubernetes, escolhe as APIs do Istio, mas seu plano de controle usa a implementação do Traffic Director, exceto nos casos detalhados em O que determina a implementação do plano de controle. Consulte Recursos compatíveis com as APIs do Istio (plano de controle gerenciado) para mais detalhes.
- Se você estiver planejando uma configuração no Google Cloud em VMs do Compute Engine, seu plano de controle usará o plano de controle global multilocatário, conhecido como a implementação do Traffic Director. Para mais informações, consulte Recursos compatíveis com as APIs do Istio (plano de controle gerenciado).
Migração do plano de controle
Se você for um cliente do Anthos Service Mesh e usar as APIs do Istio, seus clusters começarão a ser migrados para o plano de controle do Traffic Director. É possível continuar usando as APIs do Istio para configuração.
Para determinar se os clusters ainda usam o plano de controle do Istio ou migraram para o novo plano de controle global, leia Identificar implementação do plano de controle.
A seguir
- Se você for um usuário contínuo, leia Plano de controle gerenciado para clientes contínuos.
- Se você planeja configurar com o GKE, leia Provisionar um plano de controle.
- Se você planeja configurar com o Compute Engine e VMs, leia Preparar-se para configurar APIs de roteamento de serviço com o Envoy e as cargas de trabalho sem proxy.